Web应用安全培训教程
Web安全技术-PPT课件
针对公钥的攻击
修改公钥中的签名，并且标记它为公钥中已经检查过 的签名，使得系统不会再去检查它。 针对PGP的使用过程，修改公钥中的有效位标志，使 一个无效的密钥被误认为有效。
3.安全扫描技术
基本原理 采用模拟黑客攻击的形式对目标可能存在的 已知的安全漏洞进行逐项检查，然后根据扫 描结果向系统管理员提供周密可靠的安全性 分析报告，为网络安全的整体水平产生重要 的依据。
利用SSL SMTP和SSL POP 利用பைடு நூலகம்PN或其他的IP通道技术，将所有的TCP/IP 传输封装起
E-mail的安全隐患
密码被窃取 邮件内容被截获 附件中带有大量病毒 邮箱炸弹的攻击 本身设计上的缺陷
PGP（Pretty Good Privacy） 使用单向单列算法对邮件内容进行签名，以 此保证信件内容无法被篡改，使用公钥和私 钥技术保证邮件内容保密已不可否认。 特征：
第九章 Web安全技术
主要内容
IP安全技术 E-mail安全技术 安全扫描技术 网络安全管理技术 身份认证技术 VPN技术
1. IP安全技术
目前常见的安全威胁
数据泄漏 在网络上传输的明文信息被未授权的组织或个人所截获， 造成信息泄漏。 数据完整性的破坏 确保信息的内容不会以任何方式被修改，保证信息到达 目的地址时内容与源发地址时内容一致。 身份伪装 入侵者伪造合法用户的身份来登录系统，存取只有合法 用户本人可存取的保密信息。 拒绝服务 由于攻击者攻击造成系统不能正常的提供应有的服务或 系统崩溃。
VPN原理
VPN客 户 端 软 件
Internet
移 动 用 户 终 端
VPN网 关 终 端 局 域 网 VPN网 关 局 域 网
白帽黑客之Web安全培训渗透基础篇大纲内容
标题：主：白帽黑客之Web安全次：零基础渗透测试基础篇（26课时）适合人群适合想学习白帽黑客的学生和白领，且刚开始了解的Web安全渗透测试的菜鸟小白们。
课程介绍本课程根据环境搭建；基础协议讲解；后门检查及防御；信息收集展开课程，为之后的渗透测试漏洞讲解，漏洞实战；工具讲解打下基础。
本课程是渗透测试必学的基础知识。
学习目标本课程的目标是让感兴趣的小伙伴掌握Web安全的基本知识及原理，对渗透测的整体课程有个由浅入深的认识，并且掌握实现Web安全的基础环境搭建及信息收集。
为学习渗透测试领域内的其它课程打下坚实的基础。
通过本课程的讲授与实践，培养学生过硬的基础知识。
通过项目实战培训学生研究问题与解决问题的能力。
授课方式讨论交流+线下解答+直播/录播教程课程内容1、渗透测试的常见环境搭建(1)靶场环境安装之ASP（简洁式和IIS的安装）(2)靶场环境安装之JSP（Apache Or PHPstudy）(3)靶场环境安装之PHP(4)靶场环境安装之Tomcat安装(5)dvwa 漏洞演练平台安装及功能介绍(6)Linux Kali安装(7)环境搭建之JAVA/Python（为渗透工具做准备）(8)环境搭建集合之宝塔2、HTTP协议讲解(1)http协议的状态码及返回状态(2)常见的请求方式及消息（get、post、put）(3)渗透中的作用（WAf和CDN分别检测哪些地方）3、常见Web后门木马检查(1)ASP、PHP、JSP脚本后门手工及工具检测(2)webshell箱子后门(3)中国菜刀后门检查(4)shift/放大镜/等服务器后门木马检查(5)免杀远控/隐藏用户等后门木马检测(6)病毒分析引擎后门检测4、渗透测试中的信息收集(1)网站持有者信息搜集(2)通过IDC搜集持有者信息(3)网站子域名收集(4)Google黑客语法的用法（找后台及敏感信息）(5)目标开放服务探测(6)目标所属网段探测(7)网站真实IP查找(8)薄弱服务探测脚本(9)网站危险信息探测课程安排老师介绍讲师：阿皮·惜潮ZR安全团队队长，拥有5年网络安全工作经验，4年渗透测试经验。
网络安全防护技能培训教材
网络安全防护技能培训教材第1章网络安全基础概念 (4)1.1 网络安全的重要性 (4)1.1.1 个人信息安全 (4)1.1.2 企业信息安全 (4)1.1.3 国家信息安全 (4)1.2 常见网络安全威胁 (4)1.2.1 恶意软件 (4)1.2.2 网络钓鱼 (4)1.2.3 社交工程 (4)1.2.4 DDoS攻击 (4)1.2.5 数据泄露 (5)1.3 安全策略与防护措施 (5)1.3.1 安全策略 (5)1.3.2 防护措施 (5)第2章密码学基础 (5)2.1 密码学概述 (5)2.2 对称加密算法 (5)2.3 非对称加密算法 (6)2.4 哈希算法与数字签名 (6)第3章网络设备与系统安全 (6)3.1 网络设备的安全配置 (6)3.1.1 基本安全配置原则 (6)3.1.2 路由器安全配置 (7)3.1.3 交换机安全配置 (7)3.1.4 无线设备安全配置 (7)3.2 操作系统的安全防护 (7)3.2.1 操作系统安全概述 (7)3.2.2 常见操作系统安全漏洞 (7)3.2.3 操作系统安全防护策略 (7)3.2.4 主机安全防护 (7)3.3 网络安全设备介绍 (7)3.3.1 防火墙 (7)3.3.2 入侵检测系统（IDS）与入侵防御系统（IPS） (7)3.3.3 虚拟专用网络（VPN） (8)3.3.4 安全审计设备 (8)第4章网络攻防技术 (8)4.1 扫描与探测技术 (8)4.1.1 基本概念 (8)4.1.2 常用扫描技术 (8)4.1.3 常用探测工具 (8)4.2 漏洞分析与利用 (8)4.2.2 漏洞挖掘技术 (8)4.2.3 常用漏洞利用工具 (9)4.3 防御策略与应对措施 (9)4.3.1 防御策略 (9)4.3.2 应对措施 (9)第5章恶意代码与病毒防护 (9)5.1 恶意代码概述 (9)5.1.1 恶意代码的定义 (9)5.1.2 恶意代码的类型及特点 (10)5.2 病毒防护技术 (10)5.2.1 病毒防护原理 (10)5.2.2 常见病毒防护技术 (10)5.3 勒索软件防护策略 (10)5.3.1 勒索软件概述 (10)5.3.2 勒索软件防护策略 (11)第6章防火墙与入侵检测系统 (11)6.1 防火墙原理与配置 (11)6.1.1 防火墙概述 (11)6.1.2 防火墙工作原理 (11)6.1.3 防火墙配置 (11)6.2 入侵检测系统原理与应用 (12)6.2.1 入侵检测系统概述 (12)6.2.2 入侵检测系统工作原理 (12)6.2.3 入侵检测系统应用 (12)6.3 防火墙与入侵检测系统的联动 (12)6.3.1 联动原理 (12)6.3.2 联动配置 (12)第7章虚拟专用网络（VPN） (13)7.1 VPN技术概述 (13)7.1.1 VPN的定义与功能 (13)7.1.2 VPN的分类 (13)7.1.3 VPN的典型应用场景 (13)7.2 VPN加密协议 (13)7.2.1 加密技术在VPN中的应用 (13)7.2.2 常见VPN加密协议 (13)7.2.3 加密协议的选择与配置 (13)7.3 VPN设备的配置与管理 (13)7.3.1 VPN设备选型与部署 (13)7.3.2 VPN设备配置基本步骤 (14)7.3.3 VPN设备管理 (14)7.3.4 VPN设备故障排除 (14)第8章无线网络安全 (14)8.1 无线网络安全概述 (14)8.1.2 威胁类型 (14)8.1.3 安全挑战 (14)8.2 无线网络安全协议 (15)8.2.1 WEP (15)8.2.2 WPA (15)8.2.3 WPA2 (15)8.2.4 WPA3 (15)8.3 无线网络安全防护策略 (15)8.3.1 加强无线接入点安全 (15)8.3.2 强化密码策略 (16)8.3.3 网络隔离与访问控制 (16)8.3.4 安全监控与审计 (16)第9章应用层安全 (16)9.1 Web安全防护 (16)9.1.1 概述 (16)9.1.2 Web攻击手段 (16)9.1.3 Web防护策略 (16)9.1.4 Web应用防火墙 (16)9.1.5 与SSL/TLS (17)9.2 数据库安全 (17)9.2.1 数据库安全概述 (17)9.2.2 数据库访问控制 (17)9.2.3 数据库加密技术 (17)9.2.4 数据库防火墙 (17)9.2.5 数据库安全运维 (17)9.3 邮件安全与防护 (17)9.3.1 邮件安全概述 (17)9.3.2 邮件加密技术 (17)9.3.3 邮件认证与签名 (17)9.3.4 邮件过滤与防护 (17)9.3.5 邮件服务器安全配置 (17)第10章安全审计与应急预案 (17)10.1 安全审计概述 (17)10.1.1 安全审计的定义与作用 (17)10.1.2 安全审计的分类与标准 (18)10.1.3 安全审计的实施步骤 (18)10.2 安全事件应急响应 (18)10.2.1 安全事件概述 (18)10.2.2 安全事件应急响应流程 (18)10.2.3 安全事件应急响应团队建设 (18)10.3 安全预案制定与演练 (18)10.3.1 安全预案概述 (18)10.3.2 安全预案的编制方法 (18)10.3.3 安全预案的演练与评估 (18)第1章网络安全基础概念1.1 网络安全的重要性网络安全作为维护国家、企业和个人信息安全的关键环节，日益受到广泛关注。
Web 安全测试培训
WebWeb 安全测试HimanAbout MeID: HimanName: Lee Xue Qing Company: Responsibility Responsibility：：web security Mail: winner__1@NewsNews小叮当信息安全的现状•信息安全环境越来越复杂•黑客攻击越来越容易•漏洞利用速度越来越快•地下黑色产业链越来越庞大地下黑客产业链Web安全测试的意义1、增强网站的健壮性2、预防非法用户的攻击3、保护使用者的安全4、使非法侵入的代价超过被保护信息的价值Web安全测试的方法•SQL 注入•跨站脚本（XSS）•失效的身份认证和会话管理•不安全的直接对象引用•跨站请求伪造（CSRF）•安全配置错误（新）•不安全的加密存储•没有限制URL访问•传输层保护不足•未验证的重定向和转发（新）9Web安全测试的方法•地址栏关键字段加密•网站地址暴库•无过滤的上传功能•登录信息提示•提交请求防重入•网页脚本错误SQL 注入Web应用程序执行来自外部包括数据库在内的恶意指令，SQL Injection与Command Injection 等攻击包括在内。
如果没有阻止带有语法含义的输入内容，有可能导致对数据库信息的非法访问，在Web表单中输入的内容应该保持简单，并且不应包含可被执行的代码。
SQL 注入测试对象：•可以进行传参的URL/news_detail_cn.asp?id=81 and 1=2 /forum.php?archiver=1XSS跨站攻击Web应用程序直接将来自用户的执行请求送回浏览器执行，使得攻击者可截取用户的Cookie或Session数据而能假冒直接登入为合法使用者。
XSS跨站攻击测试对象：•可以进行传参的URL•网页中可进行输入的表单/search.php?key=<script>alert('xss')</script> /search.php?key=%3cscript%3ealert('xss')%3c %2fscript%3e注：IE6 浏览器对跨站拦截不彻底！失效的身份认证和会话管理只对首次传送的Cookie加以验证，程序没有持续对Cookie中内含信息验证比对，攻击者便可修改Cookie中的重要信息，以提升权限进行网站数据存取，或是冒用他人账号取得个人私密资料。
网络安全培训ppt课件(精)
定期进行数据恢复演练，确保在发生数据丢失或 损坏时能够迅速恢复。
企业级网络安全解
04
决方案
企业内部网络架构规划与设计
网络拓扑结构
根据企业规模和业务需求，设计合理的网络拓扑结构，包括核心 层、汇聚层和接入层。
设备选型与配置
选择高性能、高可靠性的网络设备，并进行合理的配置，确保网络 稳定、高效运行。
要点三
跨平台和跨设备安全
随着移动互联网和物联网技术的快速 发展，未来网络安全将更加注重跨平 台和跨设备的安全防护。这需要加强 不同平台和设备之间的安全防护协作 ，确保用户在任何平台和设备上都能 够获得一致的安全体验。
THANKS.
网络安全培训ppt课件
汇报人： 2023-12-29
contents
目录
• 网络安全概述 • 网络安全基础知识 • 个人计算机安全防护 • 企业级网络安全解决方案 • 网络安全风险评估与应对 • 总结回顾与展望未来发展趋势
网络安全概述
01
定义与重要性
网络安全定义
指通过采取必要措施，防范和抵御对网络的攻击、侵入、干扰、破坏和非法使用 以及意外事故，使网络处于稳定可靠运行的状态，以及保障网络数据的完整性、 保密性、可用性的能力。
理和危害。
攻击防范措施
提供针对常见网络攻击的防范措 施，如安装防病毒软件、定期更 新操作系统和应用程序补丁、限 制不必要的网络访问等，以降低
被攻击的风险。
应急响应计划
建议制定应急响应计划，包括识 别攻击、隔离受影响的系统、收 集和分析日志、恢复系统和数据 等步骤，以便在遭受攻击时能够
迅速应对。
个人计算机安全防
通过伪造信任网站，诱导用户输入敏感信 息，如用户名、密码等。
网络安全应用培训课程
IPSec文档
RFC 2401 2402 2403 2404 2405 2406 2407 2408 2409 2411 2411 2412
内容 IPSec体系结构 AH（Authentication Header）协议 HMAC-MD5-96在AH和ESP中的应用 HMAC-SHA-1-96在AH和ESP中的应用 DES-CBC在ESP中的应用 ESP（Encapsulating Security Payload）协议 IPSec DOI（解释域） ISAKMP协议 IKE（Internet Key Exchange）协议 NULL加密算法及在IPSec中的应用 IPSec文档路线图 OAKLEY协议
▪ESP加密算法，密钥，初始化向量(IV)和
IV模式
▪IV模式：ECB，CBC，CFB，OFB
2、安全关联数据库SAD
SA的结 构
▪SA1 ▪SA2 ▪SA3
▪……
▪SAn
▪传输模式 ▪隧道模式
2、安全关联数据库SAD
SA的结 构
▪SA1 ▪SA2 ▪SA3
▪……
▪SAn
▪路径最大传输单元 ▪是可测量和可变化的 ▪它是IP数据报经过一个特定的从源主机到 ▪ 目的主机的网络路由而无需分段的IP数据 ▪ 包的最大长度
SA的结构
SAD
SA
SA列表
▪SA1 ▪SA2 ▪SA3
▪……
▪SAn
2、安全关联数据库SAD
SA的结 构
▪SA1 ▪SA2 ▪SA3
▪……
▪SAn
▪安全参数索引 ▪32位整数，唯一标识SA ▪1－255被IANA保留将来使用 ▪0被保留用于本地实现
网络安全培训教材
网络安全培训教材网络安全培训教材第一章：网络安全概述1.1 什么是网络安全？网络安全是保护计算机网络系统的机密性、完整性和可用性的一系列措施和技术。
1.2 为什么需要网络安全？网络安全的重要性：保护个人和组织的隐私，防止数据泄露和黑客攻击，维护网络的正常运行。
第二章：常见的网络安全威胁和攻击2.1 病毒和恶意软件我们将介绍病毒、蠕虫、木马和恶意软件的工作原理和如何避免感染。
2.2 黑客攻击介绍黑客攻击的类型，如入侵攻击、社交工程、SQL注入和DDoS攻击，并提供防范措施。
2.3 钓鱼攻击介绍钓鱼攻击的常见形式，如电子邮件钓鱼、网页钓鱼和电话钓鱼，并讲述如何识别和防范。
第三章：网络安全的基本原则3.1 密码安全强调创建强密码的重要性，包括使用字母、数字和特殊字符的组合，以及定期更改密码。
3.2 防火墙和安全策略讲解防火墙的工作原理，以及如何设置安全策略来保护网络。
3.3 安全更新和补丁强调及时安装操作系统和应用程序的安全更新和补丁，以修复潜在的漏洞。
第四章：网络安全最佳实践4.1 保护个人信息提供保护个人信息的实用技巧，如避免在公共网络中输入敏感信息，不随意分享个人信息等。
4.2 社交媒体安全介绍如何设置隐私设置和注意社交媒体上的个人信息泄露。
4.3 安全上网强调使用可信赖的网络和应用程序，避免点击可疑链接和下载未知来源的文件。
第五章：网络安全意识培养5.1 培养安全意识的重要性强调每个人都应该对网络安全负责，并以合适的方式使用网络。
5.2 员工培训计划提供如何制定和实施员工网络安全培训计划的建议，包括培训内容和形式。
5.3 检测和应对安全事件讲解如何检测和应对可能的安全事件，包括报告安全问题和处理网络威胁的步骤。
第六章：网络安全法律和合规性6.1 网络安全法律介绍网络安全相关的法律法规，如个人信息保护法、网络安全法等。
6.2 合规性要求介绍企业在网络安全方面需要遵守的合规性要求，如国际标准化组织的ISO 27001标准。
WEB应用安全培训
3
4
Re:谁又发垃圾广告啦 ？
5
恶意代码 执行！
普通用户客户端
XSS跨站脚本攻击
注册用户发帖，内容如下所示
XSS跨站脚本攻击
Admin用户登录浏览刚才的帖子
非持久型跨站脚本攻击场景
攻击者
恶意代码 隐藏在链 接中
2 3
Web服务器
1 1 4
ቤተ መጻሕፍቲ ባይዱ
“reflected” 代码 恶意代码
正常访问
From: 攻击者 To: 用户 免费赠送Q币！ ！！ CLICK HERE Outlook
XSS跨站脚本攻击
XSS的危害
• 通过XSS执行的javascript，可以做到… – 窃取你正在浏览的cookies信息 – 篡改你正在浏览的页面，注入误导信息 – 捕获你的所有操作，并发送给黑客 – 从定向到黑客的钓鱼站点 – 利用浏览器的漏洞控制你的机器 – …
持久型跨站脚本攻击场景
攻击者
易受攻击的代码片段： <?php if ($pass == "hello") { $auth = 1; } Parse_str($_SERVER['QUERY_STRING'] ); if ($auth == 1) { echo "some important information"; } ?>
上面的代码首先检查用户的密码是否为"hello"，如果匹配的话，设置 "$auth" 为"1"，即通过认证。之后如果"$suth"为"1"的话，就会显示一些重要信息。 这段代码假定"$auth"在没有设置值的时候是空的，但是攻击者可以创建任何 全局变量并赋值，通过类似"/test.php?auth=1"的 方法，我 们完全可以欺骗这段代码，使它相信我们是已经认证过的。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
常用的挂马exploit
MS07-017 MS Windows Animated Cursor (.ANI) Remote Exploit MS07-019 MS07-004 VML Remote Code Execution MS06-073 MS06-071 XML Core Services Remote Code Execution MS06-068 MS06-067 MS06-057 WebViewFolderIcod ActiveX MS06-055 MS06-014 MDAC Remote Code Execution MS06-013 MS06-005 MS06-004 MS06-001
普通用户
运营商
运营商
4
Web系统逐渐成为企业安全边界之一
应用层作为安全边界的一部分，或许 有巨大的漏洞
Web Services 历史遗留系统 文件目录 人力系统 定制的应用程序 应用层攻击 计费系统 应用层 数据库 防火墙
应用服务器 Web服务器 网络层 加固OS 防火墙
5
仅仅使用网络层的防护手段 (防火墙, SSL, IDS, 加固) 无法阻止或检测到应用层攻击
特色： HTTP协议完全可见（可以完全操作所有的攻击点） 支持HTTPS (包括客户端证书) 全程数据与状态记录，可随时回顾
11
Web攻击面：不仅仅是浏览器中可见的内容
POST /thepage.jsp?var1=page1.html HTTP/1.1
Accept: */* Referer: /index.html Accept-Language: en-us,de;q=0.5 所有输入点 访问资源名称 GET与POST参数 Referer与User Agent
相对安全性而言， 开发人员更注重 系统功能！
6
开发者的关注点
定制开发的Web应用 = 企业安全的阿基里斯之踵
“目前，75% 的攻击发生在应用层”
Gartner, 2006
“2006年前9个月内新发现4,375 个漏洞. Web漏洞是其中 最普遍的三类之一.”
Mitre Corp, 09/2006，CVE的维护者
2007 OWASP Top 10排名
30.00% 跨站脚本 25.00% 20.00% 15.00% 10.00% 5.00% 0.00%
A1 A2 A3 A4
注入
恶意代码
引用不当 CSRF
A5 A6 A7 A8 A9 A10
14
2007 OWASP Top 10：第一名～第四名
No. 漏洞名称 简介 举例
13
Web攻击漏洞：2007 OWASP Top 10
2007年3月， OWASP对最新的Web应用漏洞按类别进行排名，并将前十名的 脆弱性类别编制成册。 /index.php/OWASP_Top_Ten_Project 其中前5名与SANS定期更新的Top20榜中Web应用脆弱性前5名基本一致。 /top20
而Web系统的安全性参差不齐„„
复杂应用系统代码量大、开发人员多、难免出现疏忽； 系统屡次升级、人员频繁变更，导致代码不一致； 历史遗留系统、试运行系统等多个Web系统共同运行于同一台服务器上； 开发人员未经过安全编码培训； 不同模块 定制开发系统的测试程度不如标准的产品； 低耦合 处理 ……
性能 客户 满意 界面友好 操作方便 开发进度与 成本 架构合理 代码修改方便 实现 所有功能 运行 稳定 没有 bug
Web应用安全
张晓峰 2015-10
1
目录
一 二 三 四 五 六 七 2 背景
OWASP漏洞攻防
Web对象直接引用
恶意代码执行 注入攻击
跨站脚本攻击
Google Hack
Web丰富了我们的生活 Web来源于World Wide Web，Web系统是Internet的重要组成部分， 形形色色的Web系统正在改变着我们的生活：
更多输入点 Ajax Web Service Flash客户端 Java Applet
Host:
Connection: Keep-Alive Cookie: JSESSIONID=0000dITLGLqhz1dKkPEtpoYqbN2 uid=fred&password=secret&pagestyle=default.css&action=login
网上营业厅
网上购物
写博客
网上汇款交费 Web小游戏
竞选
3
Web安全的意义
作为一种新型的市场渠道，网上营业厅能够为用户提供方便快捷的服务，能够 降低实体店铺的成本，因此在各大运营商市场战略中占有重要的位置。近年以 来，网上营业厅的安全问题越来越受到大众的关注，主要可以划分成4个方面：
工信部
网上营业厅如果被不法分子攻陷，那么可能以此为跳板进入 运营商的支撑网甚至核心网络，造成大面积通讯故障。 网上到处叫卖的个人通话详单查询服务已经对老百姓的隐私 造成了极大的破坏。移动集团一直就很重视客户信息保密的 问题。 网上营业厅代表了企业对外的形象，每天访问用户数以万计， 如果出现页面篡改、甚至网页挂马事件，对企业形象是巨大 损失。 网上营业厅涉及充值交费等交易业务，容易吸引不法分子的 眼球。如果利用安全漏洞造成交易欺诈，损害企业的经济利 益。
15
2007 OWASP Top 10：第五名～第十名
攻击即攻击者在用户未察觉的情况下，迫使用户的浏 不明邮件 Cross Site Request Forgery, 览器发起未预见的请求，其结果往往损害用户本身的利益。 中隐藏的 简称为CSRF CSRF攻击大多利用Web应用的XSS漏洞，也有很多CSRF攻击 html链接 没有利用XSS而是利用了HTML标签的特性。 A6 信息泄露与错误处理不当 Web应用可能不经意地泄露其配置、服务器版本、数据库查 错误信息 询语句、部署路径等信息，或是泄露用户的隐私。攻击者 揭示路径 Information Leakage and Improper Error Handling 可利用这些弱点盗窃敏感信息。 A7 认证与会话管理不当 Broken Authentication and Session Management A8 存储不安全 Insecure Cryptographic Storge A9 通讯加密不安全 Insecure Communication A10 URL访问控制不当 Failure to Restrict URL Access 如果Web应用的认证与会话处理不当，可能被攻击者利用来 伪装其他用户身份 如果Web应用没有正确加密存储敏感信息，可能被攻击者盗 取。 例如攻击者可能通过SQL注入手段获取其他用户的密码，如 果Web应用对密码进行了加密，就可以降低此类威胁。 如果Web应用没有对网络通讯中包含的敏感信息进行加密， 可能被窃听 如果Web应用对URL访问控制不当，可能造成用户直接在浏 览器中输入URL，访问不该访问的页面
恶作剧； 关闭Web站点，拒绝正常服务； 篡改Web网页，损害企业名誉； 免费浏览收费内容； 盗窃用户隐私信息，例如Email； 以用户身份登录执行非法操作， 从而获取暴利； 以此为跳板攻击企业内网其他系 统； 网页挂木马，攻击访问网页的特 定用户群； 仿冒系统发布方，诱骗用户执行 危险操作，例如用木马替换正常 下载文件，要求用户汇款等； „„
10
Web攻击工具：WebScarab
WebScarab是OWASP组织推出的开源工具，可应用于一切 基于HTTP协议系统的调试与攻击；
OWASP=Open Web Application Security Project，OWASP是最权威的Web应用 安全开源合作组织，其网站上有大量的Web应用安全工具与资料。 Nokia是其成员之一
12
Web攻击漏洞：安全漏洞库
Securityfocus网站的漏洞库名称为Bugtraq，它给每个漏洞编号 叫Bugtraq ID。它的网址为：/bid。 Cve是和Bugtraq齐名的漏洞库，它给漏洞库编号叫CVE ID，它 的网址为：/。 CVE与Bugtraq漏洞库都会对确认的漏洞进行统一编号，其编号 是业界承认的统一标准，有助于避免混淆。在这些漏洞库中都可 以查到大量的Web应用漏洞。
“产品的定制开发是应用安全中最薄弱的一环”.
Gartner, 09/2005
“到2009年, 80%的企业都将成为应用层攻击的受害 者”.
Gartner, 2007
7
Web攻击场景
攻击动机
攻击方法
黑客
攻击工具
攻击面（attack surface）
系统漏洞
Web服务器
防范措施
8
Web攻击动机
常见Web攻击动机
收集系统相关的通用信息 将系统所有能访问页面，所有的资源，路径展现出来 URL、口令、数据库字段、文件名都可以暴力猜解，注意利用 工具； 利用Web漏洞扫描器，可以尽快发现一些明显的问题
错误可能泄露服务器型号版本、数据库型号、路径、代码；
搜索Google，CVE, BugTraq等漏洞库是否有相关的漏洞 服务器后台管理页面，路径是否可以列表等 是否可以上传恶意代码？是否可以任意下载系统文件？ 检查所有可以输入的地方：URL、参数、Post、Cookie、 Referer、 Agent、„„系统是否进行了严格的校验？ HTTP协议是文本协议，可利用回车换行做边界干扰 用户输入是否可以影响服务器的执行？ 需要特殊工具才能利用这些攻击点 复杂的业务逻辑中是否隐藏漏洞？
A1
跨站脚本 Cross Site Scripting,简称 为XSS A2 注入 Injection Flaws
如果Web应用没有对攻击者的输入进行适当的编码和过滤，就转发给 发帖子，发消 其他用户的浏览器时，可能导致XSS漏洞。 息 攻击者可利用XSS在其他用户的浏览器中运行恶意脚本，偷窃用户的 会话，或是偷偷模拟用户执行非法的操作； 如果Web应用没有对攻击者的输入进行适当的编码和过滤，就用于构 搜索用户 造数据库查询或操作系统命令时，可能导致注入漏洞。 攻击者可利用注入漏洞诱使Web应用执行未预见的命令（即命令注入 攻击）或数据库查询（即SQL注入攻击）。 A3 恶意代码执行 如果Web应用允许用户上传文件，但对上传文件名未作适当的过滤时， 上传附件，上 Malicious File 用户可能上载恶意的脚本文件（通常是Web服务器支持的格式，如 传头像 ASP，PHP等）； Execution 脚本文件在Include子文件时，如果Include路径可以被用户输入影 响，那么可能造成实际包含的是黑客指定的恶意代码； 上述两种情况是造成恶意代码执行的最常见原因。 A4 对象直接引用 访问内部资源时，如果访问的路径（对文件而言是路径，对数据库 下载文件 而言是主键）可被攻击者篡改，而系统未作权限控制与检查的话， Insecure Direct Object 可能导致攻击者利用此访问其他未预见的资源； Reference